23andMe казва на жертвите, че те са виновни, че техните данни са били нарушени
Изправен пред повече от 30 съдебни дела от жертви на масивното си нарушение на данните, 23andMe сега отклонява вината към самите жертви в опит да се освободи от всякакви отговорност, според писмо, изпратено до група жертви, видяно от TechCrunch.
„Вместо да признае ролята си в тази катастрофа на сигурността на данните, 23andMe очевидно е решил да остави своите клиенти настрана, като същевременно омаловажава сериозността от тези събития“, каза Хасан Заварей, един от адвокатите, представляващи жертвите, които са получили писмото от 23andMe, пред TechCrunch в имейл.
През декември 23andMe призна, че хакери са откраднали генетичните данни и данните за произхода на 6,9 милиона потребители, почти половината от всичките му клиенти.
Пробивът на данни започна с достъп на хакери само до около 14 000 потребителски акаунта. Хакерите проникнаха в този първи набор от жертви чрез грубо налагане на акаунти с пароли, за които се знае, че са свързани с целевите клиенти, техника, известна като пълнене на идентификационни данни.
От тези 14 000 първоначални жертви обаче след това хакерите успяха да получат достъп до личните данни на останалите 6,9 милиона милиона жертви, защото бяха избрали функцията за ДНК роднини на 23andMe. Тази опционална функция позволява на клиентите автоматично да споделят част от своите данни с хора, които се считат за техни роднини в платформата.
С други думи, като хакнаха само 14 000 акаунта на клиенти, хакерите впоследствие изтриха личните данни на други 6,9 милиона клиенти, чиито акаунти не са били директно хакнати.
Но в писмо, изпратено до група от стотици потребители на 23andMe, които сега съдят компанията, 23andMe каза, че „потребителите небрежно са рециклирали и не са актуализирали своите пароли след тези минали инциденти със сигурността, които не са свързани с 23andMe.“
„Следователно инцидентът не е резултат от предполагаем неуспех на 23andMe да поддържа разумни мерки за сигурност“, се казва в писмото.
Zavareei каза, че 23andMe „безсрамно“ обвинява жертвите на нарушаването на данните.
„Това сочене с пръст е безсмислено. 23andMe е знаел или е трябвало да знае, че много потребители използват рециклирани пароли и по този начин 23andMe е трябвало да приложи някои от многото налични предпазни мерки за защита срещу препълване на идентификационни данни - особено като се има предвид, че 23andMe съхранява лична идентифицираща информация, здравна информация и генетична информация на своята платформа, ” Zavareei каза в имейл.
„Пробивът засегна милиони потребители, чиито данни бяха изложени чрез функцията DNA Relatives на платформата на 23andMe, не защото използваха рециклирани пароли. От тези милиони само няколко хиляди акаунта бяха компрометирани поради пълнене на идентификационни данни. Опитът на 23andMe да избегне отговорността, като обвинява клиентите си, не прави нищо за тези милиони потребители, чиито данни са били компрометирани без никаква вина“, каза Zavareei.
Свържете се с нас
Имате ли имате повече информация за инцидента 23andMe? Ще се радваме да чуем от вас. Можете да се свържете сигурно с Lorenzo Franceschi-Bicchierai на Signal на +1 917 257 1382 или чрез Telegram, Keybase и Wire @lorenzofb, или имейл на [email protected]. Можете също така да се свържете с TechCrunch чрез SecureDrop.
В отговор на писмото на 23andMe, Данте Термохс, клиент на 23andMe, който е бил засегнат от пробива на данни, каза на TechCrunch, че намира за „ужасяващо, че 23andMe се опитва да се скрие от последствия, вместо да помогне на своите клиенти.“
Адвокатите на 23andMe твърдят, че откраднатите данни не могат да бъдат използвани за нанасяне на парични щети на жертвите.
„Информацията, до която е бил потенциално достъпен, не може да бъде използвана за всякаква вреда. Както е обяснено в публикацията в блога от 6 октомври 2023 г., информацията в профила, до която може да е бил достъпен, е свързана с функцията за ДНК роднини, която клиентът създава и избира да сподели с други потребители в платформата на 23andMe. Такава информация ще бъде налична само ако ищците категорично изберат да споделят тази информация с други потребители чрез функцията за ДНК роднини. Освен това информацията, която неоторизираният участник потенциално е получил за ищците, не може да бъде използвана за причиняване на имуществени вреди (не включва техния номер на социална осигуровка, номер на шофьорска книжка или каквато и да е информация за плащане или финансова информация)“, се казва в писмото.
23andMe и един от неговите адвокати не отговориха на искането на TechCrunch за коментар.
След разкриването на пробива, 23andMe нулира паролите на всички клиенти и след това изисква от всички клиенти да използват многофакторно удостоверяване, което беше само по избор преди нарушението.
В опит да предотврати неизбежните групови съдебни искове и масови арбитражни искове, 23andMe промени условията си за обслужване, за да направи по-трудно за жертвите да се обединят при подаването съдебен иск срещу компанията. Адвокати с опит в представляването на жертви на нарушаване на данните казаха пред TechCrunch, че промените са „цинични“, „самоцелни“ и „отчаян опит“ да се защити и да възпира клиентите да преследват компанията.
Ясно е, промените не спряха това, което сега е вълна от групови дела.
Вижте коментарите
